Cybersécurité : ALTEN met à l’honneur ses experts lors d’un Talent Camp

ALTEN n’est jamais avare en termes d’innovation et de propositions pour animer les expertises en interne. Nous vous avions déjà présenté la DevOps Academy, un programme de formation permettant de faire monter en compétences les collaborateurs du groupe, nouveaux venus ou non, pour leur permettre de répondre aux défis actuels du développement. Aujourd’hui, nous allons nous attarder sur les Talent Camp, des évènements internes organisés par ALTEN qui donnent la parole à des experts de l’entreprise, mais aussi parfois à des clients ou à des intervenants extérieurs.

Tous les deux mois, un sujet est choisi parmi ceux proposés par les collaborateurs. Des organisateurs volontaires sont alors nommés pour programmer des interventions sur le thème retenu. Jusqu’à présent, les collaborateurs d’ALTEN ont pu suivre sur place ou à distance en live des conférences de vulgarisation sur l’aérospatial, l’automobile, le bug bounty ou encore l’agilité. La quinzième édition a eu lieu il y a quelques semaines sur le thème de la cybersécurité. Nous avons échangé avec trois intervenants, qui nous ont expliqué leurs expertises et sujets de présentation.

Le Pentest de gouvernance, par Johann Fournier, consultant en cybersécurité

« Mon intervention lors du Talent Camp portait sur la méthode du Pentest de gouvernance. Contrairement à un Pentest technique (penetration testing), qui consiste à simuler des attaques contre un système à la manière d’un hacker pour en identifier les failles, celui-ci va s’intéresser à des aspects plus humains de la cybersécurité.  Habituellement, sur le sujet de la gouvernance, nous effectuons des audits pour vérifier la conformité des pratiques avec les lois, les normes et les politiques d’entreprise. Le problème de ce type d’audit est qu’il est une « photo » à un instant T d’un service, et qu’il ne prend pas en compte l’humain et les failles qu’il peut présenter.

Le Pentest de gouvernance a pour objectif de rectifier ce problème. Nous analysons le fonctionnement d’un service et nous interviewons de nombreuses personnes, notamment les responsables, pour comprendre quelles failles pourraient être présentes dans les processus. Cela peut aussi bien concerner une personne qui met trop d’informations sur les réseaux sociaux que des manquements aux lois du travail. Notre objectif est de sensibiliser, de faire des remédiations quand c’est nécessaire, et de corriger les dysfonctionnements de processus. Pour que l’accompagnement puisse être optimal, il est important que nos tests portent sur l’humain, pour comprendre comment les collaborateurs fonctionnent. Nous essayons d’uniformiser leur travail, de faire en sorte que chacun acquiert les bonnes pratiques. Plus on sensibilise les équipes, et moins elles auront besoin de protections techniques pour combler leurs failles humaines.

Il peut également arriver que l’on trouve des menaces internes. Le Pentest de gouvernance va aider à visualiser les risques internes, à identifier des personnes potentiellement malveillantes qui veulent camoufler leur activité. Ou tout simplement de relever des erreurs humaines et de les corriger au plus vite.  Les informations recueillies restent en général au sein du service, mais il peut arriver que l’on trouve certaines failles récurrentes, auquel cas nous faisons une communication plus globale pour alerter et sensibiliser les collaborateurs. La sécurité se fait actuellement beaucoup avec une approche par le risque. Le Pentest de gouvernance se fait dans cet esprit : identifier les risques et corriger les comportements qui pourraient les engendrer. »

Présentation de la plateforme AI4Cyber, par Mickaël Thomas, chef de projet cybersécurité et Thierry Roger, pilote innovation

« Lors du Talent Camp Cybersécurité, nous sommes intervenus à deux pour présenter AI4Cyber, la plateforme en cours de réalisation du Lab d’innovation ALTEN de Rennes sur les projets d’IA pour la Cybersécurité. Elle se base entre autres sur un SIEM (Security Information and Event Management) et cherche à enrichir la surveillance d’un système informatique. Notre objectif, avec ces projets, est d’accompagner la montée en compétences de nos consultants, mais aussi de montrer notre savoir-faire et notre capacité à innover en Cybersécurité. Nous ne cherchons pas à fournir des solutions fonctionnelles, certaines existent déjà, mais à développer un savoir-faire. AI4Cyber n’est pas une fin en soi, mais un espace opérationnel et innovant.

Sur l’axe opérationnel, pour qu’un SIEM fonctionne, il lui faut de la donnée, par exemple les logs provenant d’un réseau d’entreprise, composé de périphériques, d’imprimantes, de serveurs, d’ordinateurs ou encore d’équipements réseau (switchs, routeurs, pare-feu etc.). Ces logs sont transmis au SIEM, en l’occurrence la suite logicielle open-source Elasticsearch que nous intégrons. Elle les met en forme, les structure, les agrège dans une base de données et en restitue une vue consolidée dans une interface homme-machine. Cela transforme les données brutes en de belles courbes et graphiques, et les rend beaucoup plus compréhensibles. Une fois cette architecture mise en place, nous pouvons mener des tests d’intrusion, simuler des attaques et créer des perturbations.

Sur l’axe innovation, nous faisons appel à l’intelligence artificielle car d’une manière générale, le problème, par exemple, d’un réseau d’entreprise est qu’il génère énormément de logs, et que cela rend l’activité peu lisible. Il n’y a pas forcément quelqu’un derrière l’écran en permanence pour la monitorer, on peut donc passer à côté d’attaques ou d’évènements de sécurité. Notre objectif est donc d’exploiter l’intelligence artificielle et le machine learning en vue d’automatiser et d’enrichir le traitement de ces événements de sécurité. Il nous faut éviter au maximum les faux positifs et les faux négatifs. Il est compliqué de trouver des professionnels compétents en matière de cybersécurité. Une fois que ce professionnel est là, il est important d’occuper son temps sur des tâches importantes à haute valeur ajoutée, d’où l’importance d’automatiser ce qui peut l’être. Le machine learning est une vraie force pour cela.

Il y a un chiffre qui permet de mettre en exergue l’intérêt de ce genre de travaux. En moyenne, les entreprises mettent 266 jours pour réagir à un événement de sécurité. Sur ces 266 jours, il y a 197 jours pour identifier l’attaque et 69 jours pour la contenir. L’intelligence artificielle va diminuer ce nombre de jours tout en augmentant la pertinence des analyses. »

Introduction à la cybersécurité et présentation du concept de station blanche, par Eric Carles, consultant en cybersécurité

« Mon intervention s’est faite en trois parties. J’ai débuté par une sensibilisation sur le sujet de la cybersécurité. Le contexte est généralement le même : un actif et donc un système (hôpital, système bancaire, aéroport…) est à protéger contre une menace qui peut prendre différentes formes (un hacker isolé, un groupe criminel ou même un risque naturel). Ce système présente des vulnérabilités, qui peuvent être exploitées par des menaces, qu’elles soient internes ou externes. Le risque est de déclencher une perte qui concernera un des trois piliers de la cybersécurité : la disponibilité, l’intégrité et la confidentialité. Peu importe le type de projet, la cybersécurité tourne toujours autour de ces trois thèmes. Ensuite, les types d’attaques sont infinis, de même que les façons de se protéger.

La deuxième partie s’est attardée sur un projet sur lequel je travaille. Il s’agit d’une station blanche sur laquelle on peut effectuer des analyses anti-malwares dans le but de garantir l’innocuité d’un ensemble de fichiers qui se trouvent, par exemple, sur une clé USB ou un disque dur externe. La plupart des malwares circulent en effet sur ce type de périphériques. Ces stations de « décontamination » permettraient à ceux qui le souhaitent de vérifier que leurs fichiers n’ont pas été compromis. Nous croisons les analyses de 5 à 13 antivirus différents pour garantir un résultat optimal. Mais le service fourni ne s’arrête pas là : quand les antivirus font uniquement de l’analyse dite statique, nous fournissons une analyse dynamique, en simulant un environnement dans une sandbox et en exécutant les fichiers pour vérifier leur comportement. Cela nous permet de détecter des fonctionnements potentiellement malveillants.

Enfin, j’ai terminé ma présentation en fournissant une liste de liens vers des sites permettant de se former sur le thème de la cybersécurité. Des sites comme Udemy.com, coursera.org, cybrary.it ou encore cnam.fr offrent des cours gratuits ou peu chers. Si la connaissance en elle-même est souvent accessible pour un prix relativement faible, c’est le temps personnel que l’on peut investir pour se former qui est souvent le facteur limitant. La mise en place d’un routine d’apprentissage peut aider à bien gérer son temps et créer une dynamique. Par exemple, consacrer 20 minutes par jour à explorer un sujet ciblé de la cybersécurité peut se révéler très efficace. »